CVE-2026-6875: Kerentanan Kritis ServiceNow AI Platform Dieksploitasi Secara Aktif, Memungkinkan Remote Code Execution Tanpa Autentikasi
Daftar Isi 23 bagian
Ringkasan Eksekutif
CVE-2026-6875 adalah kerentanan Remote Code Execution (RCE) pre-authentication kritis pada ServiceNow AI Platform yang memungkinkan penyerang tanpa kredensial untuk mengeksekusi kode arbitrer dari jarak jauh melalui eksploitasi sandbox escape pada mesin JavaScript Rhino. Dengan skor CVSS 4.0 sebesar 9.5 (Kritis) dan CVSS 3.0 sebesar 9.8, kerentanan ini masuk dalam kategori paling berbahaya yang dapat mengakibatkan kompromi total terhadap instance ServiceNow yang terdampak.
Dilaporkan oleh firma keamanan Searchlight Cyber pada 1 April 2026, ServiceNow merespons dengan kecepatan luar biasa – menerapkan mitigasi pada infrastruktur cloud yang di-host dalam waktu 24 jam. Namun, patch untuk instance self-hosted dan partner-managed baru tersedia secara progresif sepanjang Juni hingga Juli 2026, dengan pembaruan keamanan final dirilis pada 13 Juli 2026. Detail teknis lengkap diungkap oleh Searchlight Cyber pada 14 Juli 2026, dan dalam waktu kurang dari empat hari – tepatnya pada 17-18 Juli 2026 – eksploitasi aktif di alam liar telah terkonfirmasi.
Yang membedakan CVE-2026-6875 dari kerentanan RCE konvensional adalah vektor serangannya: penyerang tidak memerlukan kredensial apa pun. Sebuah endpoint publik pada platform ServiceNow dapat dieksploitasi untuk menyuntikkan kode berbahaya yang lolos dari batasan JavaScript sandbox dan mencapai eksekusi kode penuh pada server yang mendasari.
Kronologi
| Tanggal | Peristiwa |
|---|---|
| 1 April 2026 | Searchlight Cyber melaporkan kerentanan kepada ServiceNow |
| 2 April 2026 | ServiceNow menerapkan mitigasi pada seluruh instance cloud yang di-host dalam waktu 24 jam |
| Juni 2026 | Patch awal mulai didistribusikan kepada pelanggan self-hosted dan partner |
| 13 Juli 2026 | ServiceNow merilis pembaruan keamanan final, termasuk fitur “Guarded Script” |
| 14 Juli 2026 | Searchlight Cyber mempublikasikan detail teknis lengkap dan proof-of-concept |
| 17-18 Juli 2026 | Eksploitasi aktif di alam liar terdeteksi oleh peneliti keamanan (Defused dan lainnya) |
| 20 Juli 2026 | Laporan luas dari Help Net Security, BleepingComputer, dan komunitas keamanan mengonfirmasi eksploitasi aktif |
Kecepatan transisi dari pengungkapan teknis ke eksploitasi aktif – hanya tiga hingga empat hari – menyoroti seberapa cepat aktor ancaman kini dapat mengoperasionalkan kerentanan kritis setelah detail publik tersedia.
Detail Teknis
Mekanisme Kerentanan
CVE-2026-6875 adalah kerentanan code injection yang memungkinkan sandbox escape dari lingkungan eksekusi skrip terbatas ServiceNow. Platform ServiceNow menggunakan mesin JavaScript Rhino untuk eksekusi skrip server-side, dan menerapkan mekanisme sandbox yang dimaksudkan untuk membatasi apa yang dapat dilakukan oleh skrip yang tidak tepercaya.
Kerentanan ini bekerja melalui serangkaian langkah:
Langkah 1: Injeksi melalui Endpoint Pre-Authentication
Penyerang mengirimkan permintaan HTTP ke endpoint publik /assessment_thanks.do – sebuah endpoint yang dapat diakses tanpa autentikasi. Dalam parameter sysparm_assessable_type, penyerang menyisipkan payload yang dimulai dengan skema URI javascript:.
Karena ServiceNow memproses input ini dan mengevaluasinya sebagai skrip dalam konteks terbatas (sandbox), payload berbahaya mulai dieksekusi – namun secara teori masih dalam batasan sandbox.
Langkah 2: Eksploitasi Celah pada Rhino Sandbox
Batasan sandbox ServiceNow tidak sepenuhnya mengisolasi mesin Rhino. ServiceNow memuat sejumlah script include – pustaka skrip internal – dalam konteks yang lebih istimewa dan tidak sepenuhnya dibatasi oleh mekanisme sandbox.
Penyerang mengeksploitasi ini dengan:
- Menggunakan
Object.clonedanObject.definePropertysecara berantai untuk memanipulasi lingkungan objek JavaScript - Memanfaatkan
Functionconstructor untuk membangun objek kode arbitrer - Memanggil
gs.include('ItemViewElementsProvider')– sebuah panggilan yang memaksa eksekusi berpindah ke konteks istimewa di luar sandbox
Langkah 3: Eksekusi Kode Penuh
Setelah konteks istimewa tercapai, penyerang dapat mengeksekusi kode Java arbitrer pada server ServiceNow – yang berjalan di atas Java Virtual Machine (JVM). Ini memberikan akses penuh ke sistem file, basis data, konfigurasi, dan potensi pivot ke infrastruktur terhubung.
Variasi dalam Eksploitasi di Alam Liar
Yang menarik secara teknis adalah bahwa aktor ancaman di alam liar tidak menggunakan rantai gadget yang persis sama dengan proof-of-concept yang dipublikasikan oleh Searchlight Cyber. Peneliti dari Defused mengonfirmasi bahwa meskipun endpoint target (/assessment_thanks.do) identik, attacker menggunakan “gadget” alternatif – jalur kode berbeda – untuk mencapai primitif eksekusi kode yang sama.
Ini mengimplikasikan salah satu dari dua kemungkinan:
- Aktor ancaman telah melakukan rekayasa balik terhadap patch ServiceNow dan mengembangkan eksploitasi independen
- Kerentanan yang mendasari lebih luas dari yang diperkirakan, dengan beberapa jalur berbeda menuju sandbox escape yang sama
Keduanya adalah skenario yang mengkhawatirkan, dan opsi kedua berarti bahwa deteksi berbasis signature spesifik terhadap satu rantai eksploitasi tidak akan cukup.
Layanan dan Versi yang Terdampak
| Komponen | Detail |
|---|---|
| Platform | ServiceNow AI Platform |
| Jenis Instance | Self-hosted dan partner-managed (cloud-hosted telah dimitigasi sejak 2 April 2026) |
| Mesin Skrip | Rhino JavaScript Engine |
| Versi Rentan | Australia (sebelum Patch 2), Yokohama (sebelum Patch 12 Hot Fix 1b), Zurich (sebelum Patch 7b), Brazil EA/GA |
| CVSS 4.0 | 9.5 (Kritis) |
| CVSS 3.0 | 9.8 (Kritis) |
| Vektor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Dampak Potensial
Setelah penyerang mencapai RCE pada instance ServiceNow, dampak yang mungkin terjadi meliputi:
- Akses penuh ke basis data ServiceNow – termasuk tiket insiden, data konfigurasi, informasi aset, dan data sensitif lainnya yang dikelola melalui platform
- Pivot ke infrastruktur terhubung – ServiceNow sering terintegrasi dengan sistem lain melalui konektor, API, dan MID Server yang dapat dijembatani oleh penyerang
- Pencurian kredensial – kredensial tersimpan untuk sistem terintegrasi dapat diekstrak
- Persistensi – penyerang dapat membuat akun administratif baru, memodifikasi logika bisnis, atau menanam backdoor
- Ransomware – enkripsi basis data dan file sistem ServiceNow untuk pemerasan, berdampak pada operasi ITSM organisasi
- Supply chain compromise – ServiceNow digunakan oleh ribuan organisasi global; kompromi pada instance dapat menjadi batu loncatan untuk menyerang mitra dan pelanggan
Analisis: Mengapa Kerentanan Ini Signifikan
1. Pre-Authentication adalah Pengubah Permainan
Kerentanan RCE yang memerlukan autentikasi adalah serius. Kerentanan RCE yang tidak memerlukan autentikasi sama sekali adalah bencana. CVE-2026-6875 termasuk dalam kategori kedua. Endpoint /assessment_thanks.do dirancang untuk dapat diakses publik – fakta bahwa endpoint ini dapat menjadi pintu masuk untuk eksekusi kode penuh adalah kegagalan desain keamanan yang fundamental.
2. ServiceNow sebagai Target Bernilai Tinggi
ServiceNow bukanlah aplikasi biasa. Ini adalah platform ITSM (IT Service Management) yang digunakan oleh:
- Mayoritas perusahaan Fortune 500
- Instansi pemerintah di berbagai negara
- Penyedia layanan kesehatan dan rumah sakit
- Institusi keuangan
- Perusahaan infrastruktur kritis
Setiap instance ServiceNow berisi data yang sangat sensitif: konfigurasi infrastruktur IT, informasi aset, data insiden keamanan, kredensial integrasi, dan sering kali data pribadi karyawan dan pelanggan. Kompromi terhadap instance ServiceNow pada dasarnya adalah kompromi terhadap sistem saraf pusat operasi IT organisasi.
3. Kesenjangan Antara Cloud-Hosted dan Self-Hosted
ServiceNow patut dipuji karena responsnya yang sangat cepat terhadap instance cloud-hosted – mitigasi dalam 24 jam pada 2 April 2026. Namun, kesenjangan tiga bulan antara mitigasi cloud dan ketersediaan patch untuk instance self-hosted (Juni-Juli 2026) menciptakan jendela kerentanan yang signifikan. Ini adalah pengingat bahwa organisasi yang mengoperasikan instance self-hosted dari platform SaaS harus mempertahankan program manajemen kerentanan dan patch yang independen – mereka tidak dapat sepenuhnya bergantung pada vendor untuk perlindungan tepat waktu.
4. Kecepatan Eksploitasi yang Mengkhawatirkan
Transisi dari pengungkapan detail teknis (14 Juli) ke eksploitasi aktif (17-18 Juli) hanya memakan waktu tiga hingga empat hari. Kecepatan ini konsisten dengan tren yang lebih luas di mana aktor ancaman semakin cepat dalam mengoperasionalkan kerentanan – terutama yang memiliki proof-of-concept publik. Organisasi memiliki jendela yang semakin sempit antara ketersediaan patch dan eksploitasi massal.
5. Blind Spot Deteksi
Karena penyerang di alam liar menggunakan rantai gadget yang berbeda dari PoC publik, deteksi berbasis signature – seperti aturan IDS/IPS yang mencari pola spesifik dari eksploitasi yang diketahui – tidak akan efektif terhadap varian serangan baru. Ini memaksa organisasi untuk mengandalkan deteksi berbasis perilaku dan anomali, yang lebih sulit diimplementasikan dan dikelola.
Perbandingan dengan Kerentanan ServiceNow Sebelumnya
| CVE | Tahun | Jenis | CVSS | Dampak |
|---|---|---|---|---|
| CVE-2026-6875 | 2026 | Pre-auth RCE (Sandbox Escape) | 9.5/9.8 | Eksekusi kode penuh pada instance |
| CVE-2024-8923 | 2024 | Insecure Direct Object Reference | 8.6 | Akses tidak sah ke data |
| CVE-2024-5217 | 2024 | Input Validation Bypass | 7.5 | Potensi eksfiltrasi data |
CVE-2026-6875 menonjol karena kombinasinya yang mematikan: pre-authentication, remote code execution, dan skor CVSS tertinggi – menjadikannya kerentanan ServiceNow paling serius setidaknya dalam beberapa tahun terakhir.
Respons ServiceNow: Guarded Script
Sebagai bagian dari pembaruan keamanan Juli 2026, ServiceNow memperkenalkan fitur baru bernama “Guarded Script”. Fitur ini dirancang untuk:
- Membatasi jenis kode yang dapat dieksekusi dalam konteks sandbox
- Mencegah pola eksekusi yang dapat digunakan untuk sandbox escape
- Memberikan lapisan pertahanan tambahan terhadap kerentanan injeksi kode di masa depan
Implementasi Guarded Script menunjukkan bahwa ServiceNow mengakui akar masalahnya bukan hanya pada kerentanan spesifik ini, tetapi pada arsitektur sandbox yang mendasarinya. Ini adalah pendekatan yang tepat – memperbaiki kerentanan tanpa memperkuat arsitektur hanya akan mengundang penemuan celah baru.
Mitigasi dan Rekomendasi
1. Patch Segera
| Prioritas | Tindakan |
|---|---|
| KRITIS | Terapkan patch terbaru sesuai versi: Australia Patch 2, Yokohama Patch 12 Hot Fix 1b, Zurich Patch 7b, atau Brazil GA |
| KRITIS | Verifikasi bahwa fitur Guarded Script telah diaktifkan setelah pembaruan |
| KRITIS | Instance yang tidak dapat segera di-patch harus diisolasi dari internet publik |
2. Deteksi Kompromi
| Prioritas | Tindakan |
|---|---|
| SEGERA | Periksa log akses untuk permintaan mencurigakan ke /assessment_thanks.do – khususnya yang mengandung skema javascript: |
| SEGERA | Cari indikasi pemanggilan gs.include('ItemViewElementsProvider') yang tidak biasa dalam log eksekusi skrip |
| TINGGI | Periksa log untuk aktivitas Object.defineProperty dan Object.clone dalam konteks yang tidak diharapkan |
| TINGGI | Monitor koneksi keluar tidak biasa dari instance ServiceNow ke alamat IP eksternal |
3. Hardening Instance
| Prioritas | Tindakan |
|---|---|
| TINGGI | Batasi akses jaringan ke instance ServiceNow – gunakan firewall dan daftar putih IP |
| TINGGI | Jika memungkinkan, tempatkan instance di belakang VPN atau Zero Trust Network Access (ZTNA) |
| SEDANG | Nonaktifkan endpoint dan modul yang tidak diperlukan – termasuk /assessment_thanks.do jika fitur assessment tidak digunakan |
| SEDANG | Terapkan Web Application Firewall (WAF) dengan aturan yang diperbarui untuk CVE-2026-6875 |
4. Incident Response
| Prioritas | Tindakan |
|---|---|
| SEGERA | Jika kompromi terdeteksi, isolasi instance dari jaringan |
| SEGERA | Asumsikan semua kredensial yang dikelola melalui ServiceNow telah dikompromikan dan lakukan rotasi massal |
| TINGGI | Periksa sistem terintegrasi (MID Server, konektor, API gateway) untuk indikasi pivot |
| TINGGI | Libatkan tim forensik untuk investigasi menyeluruh – termasuk analisis basis data, sistem file, dan log aplikasi |
5. Strategi Jangka Panjang
| Prioritas | Tindakan |
|---|---|
| SEDANG | Evaluasi apakah instance self-hosted benar-benar diperlukan – pertimbangkan migrasi ke instance cloud-hosted yang menerima patch lebih cepat |
| SEDANG | Terapkan program manajemen kerentanan khusus untuk platform SaaS self-hosted |
| SEDANG | Kembangkan playbook respons insiden spesifik untuk kompromi platform ITSM |
Indikator Kompromi (IOC)
| Jenis | Nilai |
|---|---|
| Endpoint Target | POST ke /assessment_thanks.do |
| Parameter | sysparm_assessable_type berisi skema javascript: |
| Panggilan Mencurigakan | gs.include('ItemViewElementsProvider') dalam konteks tidak sah |
| Manipulasi Objek | Object.clone dan Object.defineProperty berantai |
| Koneksi Jaringan | Koneksi keluar tidak biasa dari proses ServiceNow |
Kesimpulan
CVE-2026-6875 adalah kerentanan yang menggabungkan semua elemen terburuk dalam keamanan siber: pre-authentication, remote code execution, skor CVSS nyaris sempurna, target bernilai tinggi, dan eksploitasi aktif di alam liar. Ini adalah jenis kerentanan yang membuat tim keamanan kehilangan tidur – dan dengan alasan yang tepat.
ServiceNow merespons laporan awal dengan kecepatan yang patut dicontoh untuk instance cloud-hosted mereka. Namun, kesenjangan patch selama tiga bulan untuk instance self-hosted, dikombinasikan dengan eksploitasi yang muncul hanya empat hari setelah pengungkapan teknis, menciptakan badai kondisi yang sempurna bagi organisasi yang menjalankan instance ServiceNow mereka sendiri.
Pelajaran yang dapat diambil lebih luas dari insiden ini: model keamanan platform SaaS bersifat asimetris. Instance cloud-hosted menikmati perlindungan dari tim keamanan vendor yang dapat merespons dalam hitungan jam. Instance self-hosted – bahkan ketika menjalankan perangkat lunak yang sama – bergantung sepenuhnya pada kecepatan dan kedisiplinan organisasi dalam menerapkan patch. Dalam lanskap ancaman di mana aktor jahat dapat mengoperasionalkan kerentanan dalam hitungan hari, kesenjangan ini dapat berarti perbedaan antara keamanan dan kompromi total.
Bagi organisasi yang menjalankan ServiceNow self-hosted: jika Anda belum melakukan patching, setiap jam yang berlalu adalah risiko yang tidak perlu. Kerentanan ini tidak lagi teoretis – ia sedang dieksploitasi secara aktif, dan penyerang tidak akan menunggu.
Artikel ini disusun berdasarkan laporan dari Searchlight Cyber (CVE-2026-6875 Technical Analysis, 14 Juli 2026), Help Net Security (ServiceNow pre-auth RCE exploited in the wild, 20 Juli 2026), BleepingComputer (Critical ServiceNow code execution flaw now exploited in attacks, 20 Juli 2026), analisis dari Defused Threat Intelligence, serta pemantauan tim Threat Intelligence Seraphim News terhadap lanskap kerentanan dan eksploitasi terkini.
